Mehr als 200.000 Sterne in wenigen Tagen: Das Open-Source-Projekt REA, kurz für „Reverse Engineer Anything“, ist derzeit eines der meistbeachteten Repositories auf GitHub. Es gibt KI-Programmierassistenten wie Claude Code, Codex oder Cursor Werkzeuge an die Hand, mit denen sie fertige Programme ohne Quellcode untersuchen können, bis hinunter zum Maschinencode. In sozialen Netzwerken wird das als Ende geschlossener Software gefeiert, manche versprechen gar, man könne damit jede Software „kostenlos“ bekommen. Was REA tatsächlich kann, wofür es gedacht ist und wo in Deutschland die rechtliche Grenze verläuft, lohnt einen genaueren Blick.
Das Wichtigste in Kürze
- REA ist ein quelloffener MCP-Server mit Kommandozeilenwerkzeug unter MIT-Lizenz. Er verbindet KI-Agenten mit etablierten Analyseprogrammen wie Ghidra, Hopper oder IDA.
- Das Projekt untersucht native Programme, Electron- und JavaScript-Apps, .NET-Programme, Android-Apps, Firmware und Websites; die Analyse läuft lokal.
- Das Repository von Entwickler „morluto“ zählte am 13. Oktober mehr als 201.000 Sterne und rund 49.000 Abspaltungen. Am 9. Oktober waren es noch gut 10.000.
- Die Projektregeln schließen ausdrücklich aus, Kopierschutz zu umgehen oder fremden Code nachzubauen. In Deutschland ist Dekompilieren nur in engen Grenzen erlaubt, vor allem für Kompatibilität.
- REA ist laut eigener Sicherheitsrichtlinie keine abgeschottete Umgebung. Wer unbekannte Programme untersucht, sollte das in einer getrennten Umgebung tun.
Was REA macht
Reverse Engineering, also das Zurückverfolgen, wie ein fertiges Programm funktioniert, war bislang Expertenarbeit. Wer verstehen wollte, was eine Software intern tut, musste Werkzeuge wie den von der US-Sicherheitsbehörde NSA veröffentlichten Disassembler Ghidra bedienen und Assemblersprache lesen können. REA ändert nicht die Werkzeuge, sondern wer sie bedient. Das Projekt ist ein MCP-Server, also eine standardisierte Schnittstelle, über die KI-Assistenten externe Programme aufrufen. Nach der Einrichtung mit einem einzigen Befehl kann ein Agent Ghidra, Hopper oder IDA steuern, Pseudocode und Querverweise auswerten und die Ergebnisse in Alltagssprache erklären.
Die Spannweite ist groß. Laut Projektbeschreibung analysiert REA neben klassischen Programmen auch Electron-Anwendungen, wie sie viele Desktop-Apps nutzen, außerdem .NET-Programme, Android-Apps, Firmware von Geräten, Websites, mitgeschnittenen Netzwerkverkehr und SQLite-Datenbanken. Die Ergebnisse sollen jeweils mit Belegen und offenen Unklarheiten zurückkommen. Die Beispiele auf der Projektseite zeigen den Anspruch: Beim Spieleklassiker DX-Ball rekonstruierte ein Mitwirkender die Berechnung der Stereoposition von Soundeffekten als C-Code, der 3.205 Testfälle des Originals besteht. Bei der Notizen-App Notion verfolgt eine Fallstudie, wie die Zwischenablage zwischen Oberfläche und Hauptprozess Daten austauscht.
Der Erfolg kam schlagartig. Am 9. Oktober meldete das Portal Startup Fortune gut 10.400 Sterne und Platz eins der GitHub-Trends. Vier Tage später zeigt GitHub mehr als 201.000. Das Projekt veröffentlicht fast täglich neue Versionen; Version 6.4.0 erschien am 11. Oktober.
Wofür das sinnvoll ist
Die legitimen Anwendungen sind zahlreich, und sie sind der eigentliche Fortschritt. Sicherheitsforscher können prüfen, ob eine App tatsächlich tut, was der Hersteller verspricht, etwa ob sie Daten unverschlüsselt überträgt. Wer Schadsoftware analysiert, kommt schneller zu verwertbaren Ergebnissen. Unternehmen mit alter Software, deren Quellcode verloren ging, können Funktionen rekonstruieren. Und Projekte zur Softwarebewahrung können Spiele und Programme vergangener Jahrzehnte am Leben erhalten. Das Projekt nennt genau diese Zwecke: Sicherheits- und Malware-Forschung, Bildung, Kompatibilität, Bewahrung und die Untersuchung von Software, die man besitzt oder untersuchen darf.
Ausdrücklich ausgeschlossen sind laut Haftungshinweis das Umgehen von Kopierschutz, Lizenzprüfungen und Anti-Cheat-Systemen, das Entwickeln von Spielecheats und das Kopieren geschützter Software samt ihrer Grafiken und Programmteile. Entsprechende Anfragen würden ohne Antwort geschlossen. Das steht in deutlichem Kontrast zu Anleitungen, die auf X unter Titeln wie „How to Get Anything for FREE“ fast eine Million Aufrufe sammeln.
Was in Deutschland erlaubt ist
Das deutsche Urheberrecht unterscheidet klar zwischen Beobachten und Zerlegen. Nach Paragraf 69d Absatz 3 des Urheberrechtsgesetzes darf jeder, der ein Programm rechtmäßig nutzt, dessen Funktionieren beobachten, untersuchen und testen, um die zugrunde liegenden Ideen zu verstehen. Das deckt vieles ab, was REA bei Websites, Netzwerkverkehr oder dem Verhalten einer App tut.
Das Dekompilieren, also das Rückübersetzen von Maschinencode in eine lesbarere Form, regelt Paragraf 69e enger. Erlaubt ist es nur, wenn es nötig ist, um ein unabhängig geschaffenes Programm mit anderen kompatibel zu machen, und nur für die dafür erforderlichen Teile. Die gewonnenen Informationen dürfen ausdrücklich nicht genutzt werden, um ein Programm mit im Wesentlichen ähnlicher Ausdrucksform zu entwickeln. Wer also eine kommerzielle App mit REA zerlegt, um sie nachzubauen, bewegt sich in Deutschland klar außerhalb des Erlaubten. Dazu kommen Lizenzbedingungen, die Reverse Engineering oft untersagen, und das Verbot, technische Schutzmaßnahmen zu umgehen.
Hier liegt auch der Unterschied zum gerade viel diskutierten Photoshop-Nachbau PhotoCraft: Dessen Entwickler berufen sich auf ein Clean-Room-Verfahren, also eine Neuentwicklung aus öffentlichen Spezifikationen und beobachtetem Verhalten, ausdrücklich ohne fremden Code. REA dagegen ist ein Werkzeug, das genau diesen Code lesbar macht. Ob ein Nachbau rechtlich hält, hängt dann vom Weg ab, nicht vom Werkzeug.
Ein Risiko für die eigene Maschine
Ein Punkt geht in der Begeisterung unter. Die Sicherheitsrichtlinie des Projekts stellt klar, dass REA keine abgeschottete Umgebung ist: Wer eine unbekannte Programmdatei öffnet, überlässt deren Analyse den lokalen Werkzeugen mit den eigenen Benutzerrechten. Manche Arbeitsabläufe führen Programme zudem aus oder greifen auf angeschlossene Geräte zu. Dazu kommt, dass ein KI-Agent die Schritte selbst plant. Wer mit REA fremde oder verdächtige Software untersucht, sollte das in einer virtuellen Maschine oder auf einem Testrechner tun, nicht auf dem Arbeitsrechner mit Zugangsdaten und Kundendateien.
Einordnung
REA ist kein Werkzeug zum Raubkopieren, aber ein Beschleuniger für etwas, das bisher an Fachwissen gebunden war. Für Softwarehersteller bedeutet das: Was in einer ausgelieferten App steckt, ist für jeden mit einem KI-Agenten lesbar geworden. Sicherheit, die darauf beruht, dass niemand hineinschaut, war schon immer schwach; jetzt trägt sie gar nicht mehr. Schlüssel, interne Schnittstellen und Geschäftslogik gehören auf den Server, nicht in den Client. Für Nutzer gilt umgekehrt: Neugier ist erlaubt, Nachbauen meistens nicht. Die spannendste Folge dürfte in der Sicherheitsforschung liegen, wo nun deutlich mehr Leute prüfen können, ob Apps halten, was ihre Hersteller versprechen.